8 Outsourcingpolitik

Når institutterne fastsætter politikker og dokumenterer ledelsesordninger, bør de tage hensyn til de aspekter, der er anført i bilag I til retningslinjerne. Selv om politikker og dokumentation kan omfattes af separate dokumenter, bør institutterne overveje at kombinere dem eller henvise til dem i et enkelt ledelsesrammedokument.

Ledelsesorganet bør godkende og løbende revidere og opdatere et instituts outsourcingpolitik og sikre, at relevante ændringer gennemføres rettidigt.

Outsourcingpolitikken bør beskæftige sig med konsekvenserne af outsourcing for et instituts virksomhed og de risici, det står over for (f.eks. operationelle risici, herunder retlige risici og IT-risici, omdømmemæssige risici og koncentrationsrisici). Politikken bør omfatte de ordninger for indberetning og overvågning, der skal gennemføres fra en outsourcingaftales start til dens ophør (herunder udarbejdelsen af en business case for outsourcing, indgåelsen af en outsourcingkontrakt, gennemførelsen af kontrakten frem til dens udløb, nødplaner og exitstrategier). Et institut vil fortsat være fuldt ansvarligt for alle outsourcede ydelser og aktiviteter samt for ledelsesbeslutninger, der udspringer heraf. I overensstemmelse hermed bør outsourcingpolitikken præcisere, at outsourcing ikke fritager instituttet fra dets reguleringsforpligtelser og dets ansvar over for kunderne.